Mehr als Zwei Drittel der Industrieunternehmen (69 Prozent) in Deutschland waren in den vergangenen zwei Jahren von Datendiebstahl, Wirtschaftsspionage oder Sabotage betroffen. Das geht aus einer repräsentativen Umfrage im Auftrag des Bitkom unter 504 Firmen des produzierenden Gewerbes mit zumindest zehn Mitarbeitern hervor. Im Durchschnitt der Gesamtwirtschaft sind 51 Prozent aller Unternehmen von solchen Delikten betroffen. Nach Berechnungen des Bitkom beziffert sich der Schaden für die deutsche Industrie auf knapp 22,4 Milliarden Euro pro Jahr.
“Die deutsche Industrie ist ein attraktives Angriffsziel für Cyberkriminelle und ausländische Nachrichtendienste”, erklärte Bitkom-Präsidiumsmitglied Winfried Holz zu Beginn der Hannover Messe. “Mit der Digitalisierung der Produktion und der Vernetzung von Maschinen über das Internet entstehen neue Angriffsflächen. Der Erfolg von Industrie 4.0 steht und fällt mit der Sicherheit der eingesetzten Systeme.”
Die kriminellen Vorfälle ereigneten sich der Umfrage zufolge am häufigsten in der Produktion respektive Fertigung. Das berichten 36 Prozent aller betroffenen Firmen. Bei 30 Prozent seien die Attacken auf Lager und Logistik gerichtet, bei 29 Prozent zielten die Angriffe auf die IT sowie bei 23 Prozent auf Forschung und Entwicklung ab. Gemessen nach Branchen sind Maschinen- und Anlagenbau (70 Prozent) noch am stärksten betroffen. In den Wirtschaftszweigen Chemie und Pharma sind es 68 Prozent, in der Elektrotechnik 65 Prozent sowie im Fahrzeugbau 61 Prozent. Auf “sonstige Industrie” entfallen durchschnittlich ebenfalls 70 Prozent der Sicherheitsvorfälle.
Als das am häufigsten auftretende Delikt wurde der Diebstahl von IT- und Kommunikationsgeräten angegeben: So berichten 32 Prozent der Firmen, dass zum Beispiel Smartphones, Computer oder Tablets entwendet wurden. Bei einem Fünftel (20 Prozent) wurden vertrauliche physische Dokumente, Bauteile oder Muster gestohlen. Vom Diebstahl vertraulicher digitaler Dokumente waren 19 Prozent betroffen. Bei 18 Prozent gab es Sabotageakte mit dem Ziel, die betrieblichen Abläufe zu stören oder lahmzulegen. 16 Prozent der betroffenen Unternehmen registrierten Fälle von Social Engineering. Diese Methode sieht vor, Mitarbeiter zu manipulieren, um an Informationen wie Passwörter zu gelangen. Bei immerhin 6 Prozent der Firmen wurde die elektronische Kommunikation ausspioniert und bei 5 Prozent sind Besprechungen oder Telefonate mitgeschnitten worden.
Laut Bitkom setzt sich ein Großteil der geschätzten Schadenssumme von 22,4 Milliarden Euro im Jahr aus Umsatzeinbußen durch Plagiate sowie Patentrechtsverletzungen zusammen. Danach folgen Umsatzverluste durch den Ausfall von Wettbewerbsvorteilen sowie Kosten für Rechtsstreitigkeiten. Ein weiterer Posten stellen Ausgaben für die Ersatzbeschaffung von gestohlenen ITK-Geräten sowie Kosten dar, die durch den Ausfall von IT-Systemen oder die Störung von Betriebsabläufen zusammenkommen. Ein weicher Faktor mit großem Gewicht sind Imageschäden, die als Folge von Sicherheitsvorfällen eintreten.
In der Mehrzahl der Fälle sind die Täter in den Reihen der eigenen Mitarbeiter zu suchen: Nahezu zwei Drittel (65 Prozent) der betroffenen Firmen geben an, dass gegenwärtig oder ehemals Beschäftigte für die Taten verantwortlich waren. Bei einem Drittel der Befragten kamen die Attacken aus dem direkten Umfeld von Kunden, Lieferanten oder Dienstleistern. Bei 16 Prozent waren Mitbewerber für die Taten verantwortlich. Immerhin 14 Prozent gaben organisierte Banden als Täter an. Von 6 Prozent der betroffenen Unternehmen konnten ausländische Geheimdienste als Ausgangspunkt ermittelt werden.
61 Prozent der Unternehmen haben zur Aufklärung der Vorfälle eine interne Untersuchung eingeleitet und 26 Prozent externe Spezialisten beauftragt. Lediglich ein Viertel der betroffenen Firmen schaltete staatliche Stellen ein. Fast alle davon (96 Prozent) die Polizei informiert, die wenigsten (3 Prozent) den Verfassungsschutz, in dessen Zuständigkeitsbereich Wirtschaftsspionage oder Sabotage fallen. “Kriminelle Vorfälle sollten den Behörden gemeldet werden”, sagte Holz. “Selbst wenn die Ermittlungen zu keinem Ergebnis führen, können sich die Sicherheitsbehörden ein besseres Bild der aktuellen Gefährdungslage machen und Gegenmaßnahmen entwickeln.”
Laut Bitkom macht die Umfrage auch deutlich, dass es in vielen Unternehmen Sicherheitsmängel gibt. Der größte Nachholbedarf besteht in den Augen des Branchenverbands beim Personal. Lediglich ein Viertel (25 Prozent) aller Industriebetriebe offeriert Schulungen zu Sicherheitsthemen für seine Mitarbeiter. Selbst in großen Unternehmen ab 500 Mitarbeitern un das nur 30 Prozent. Ein Drittel (33 Prozent) führt vor der Besetzung heikler Positionen sogenannte Background-Checks durch, bei welchen Informationen über die Bewerber eingeholt werden. 7 Prozent setzen auf ein Hinweissystem (Whistleblowing-Tool), mit dem verdächtiges Verhalten anonym gemeldet werden kann.
Alle befragten Firmen nutzen im Bereich der technischen IT-Sicherheit Virenscanner, Firewalls sowie einen Passwortschutz für Geräte. Dieser gängige Basisschutz sei allerdings nicht mehr ausreichend, so Holz. “Die IT-Angriffe sind immer komplexer geworden. Häufig werden sie gar nicht erkannt und der Abfluss von Daten bleibt unbemerkt.” Deshalb seien zusätzliche Sicherheitsmaßnahmen erforderlich.
Holz zufolge sollte die Verschlüsselung von Netzwerkverbindungen zum Standard gehören, wird bisher allerdings nur von 83 Prozent der Unternehmen verwendet. Lediglich 48 Prozent der Industriebetriebe verschlüsseln Daten auf Datenträgern und 46 Prozent ihre elektronische Kommunikation per E-Mail. 35 Prozent integrieren eine Absicherung des internen Netzwerks gegen Datenabfluss von innen, 27 Prozent verwenden spezielle Systeme zur Angriffserkennung. Letztere werten die Datenströme in einer Organisation aus und melden verdächtige Aktivitäten. Fast jedes dritte Unternehmen (30 Prozent) nutzt erweiterte Verfahren zur Anwenderidentifikation, beispielsweise eine Zwei-Faktor-Authentifizierung oder biometrische Merkmale.
Dem Bitkom zufolge ergeben sich mit der Vernetzung von Maschinen über das Internet und dem Trend zur digitalen Fabrik für die Wirtschaft neue Herausforderungen bei der IT-Sicherheit. Aus seiner Sicht sollten Unternehmen deshalb nicht nur die technische, sondern auch die organisatorische und personelle Sicherheit verbessern sowie eine Sicherheitszertifizierung anstreben. Zum Beispiel empfiehlt der Branchenverband Regelungen darüber, wer im internen Netzwerk Zugang zu welchen Daten hat und wer auf vertrauliche Bereiche eines Unternehmens zugreifen darf.
Darüber hinaus sollte es einen Sicherheitsbeauftragten geben, der diese Maßnahmen anstößt und überwacht. Ein Notfallmanagement ermögliche eine schnelle Reaktion im Krisenfall. Ferner müssten Mitarbeiter derart geschult sein, dass sie die Zusammenhänge und Gefahren erkennen und verstehen, um auf immer ausgeklügeltere Attacken vorbereitet zu sein. Sicherheitszertifizierungen verpflichteten Firmen dazu, sich intensiv mit dem Thema zu befassen. In der Praxis seien sie ein geeignetes Mittel, um höhere Sicherheitsstandards im gesamten Unternehmen zu etablieren.
[mit Material von Björn Greif, ZDNet.de]
Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Lieferkettenplanung in Deutschland auf Basis von Excel bei 37 Prozent der befragten Unternehmen im Einsatz.
Bedienpersonal von Fertigungsanalagen soll mögliche Risiken auch ohne Cybersecurity-Fachwissen erkennen und minimieren können.
Schiffl IT: Anomalien im Netzwerkverkehr und in den Systemen in Echtzeit identifizieren.
Absicherung der IT-Infrastruktur erfolgt über die Zero Trust Exchange-Plattform von Zscaler.
Maschinen können mit neuen Verfahren lernen, nicht nur Vorhersagen zu treffen, sondern auch mit kausalen…
Medizingeräte Hersteller Tuttnauer schützt Gerätesoftware mit IoT-Sicherheitslösung.
View Comments
Dies wird das wichtigste Thema in den kommenden Jahren bleiben - IT security.
Viele Unternehmen sichern noch nicht einmal grundlegende Dinge ab, um den Datenabfluss zu verhindern. An vielen Firmenrechnern lassen sich immer noch USB sticks, SD-Karten und selbst Bluetooth Dongles (selbst wenn BT in der Systemsteuerung gesperrt ist funktioniert Bluetooth dann über den dongle!) anschließen. Private e-mails sollte man auf Grund der Trojaner-Gefahr ganz verbieten. Es hat doch sowieso mittlerweile jeder ein smartphone mit Internet. Auch das Surfen über den Firmenrechner könnte man ganz einstellen oder drastisch einschränken auf Dienste wie Nachrichten, Staumeldungen und Wetter. Oder solche Dienste ins Intranet verlagern...
Das wichtigste ist natürlich die Sensibilisierung der Mitarbeiter. Wenndie Mitarbeiter nicht mitziehen beim Thema security, werden viele Firmen Schiffbruch erleiden, gerade wenn sie auf den IOT Zug aufspringen...